“獨(dú)一無二”的生物識(shí)別技術(shù) 也隱藏著許多安全隱患

指紋識(shí)別、虹膜識(shí)別、靜脈識(shí)別……隨著高科技的發(fā)展，生物識(shí)別技術(shù)開始普遍被用作新的生物認(rèn)證方式，并有代替數(shù)字密碼的趨勢(shì)。但是，“獨(dú)一無二”的生物識(shí)別技術(shù)，真的沒有安全隱患了嗎？事實(shí)并非如此。

人臉識(shí)別被破解早已不是新聞，而以安全著稱的Face ID近日也遭到了破解。2019年的美國(guó)黑帽大會(huì)上，就有研究人員就展示了這一“漏洞”。他們制作了一種特殊的眼鏡：鏡片上貼上黑色膠帶，中間畫著白色的點(diǎn)。當(dāng)他們把眼鏡戴在睡著的受害者臉上時(shí)，便可以進(jìn)入他的iPhone，還能通過移動(dòng)支付應(yīng)用程序給其他人匯款。這個(gè)漏洞來源于蘋果的：注視感知功能，這一功能原本是為了進(jìn)行活體檢測(cè)。然而，在識(shí)別戴眼鏡的人時(shí)，并不會(huì)從眼框區(qū)域提取3D信息。為了封堵這個(gè)漏洞，研究人員建議生物識(shí)別模塊的制造商為面部識(shí)別裝置添加更多身份認(rèn)證。

比人臉更容易破解的則是指紋識(shí)別，早在2017年，日本國(guó)家信息學(xué)研究所的研究人稱，他們僅用中端數(shù)碼愛相機(jī)，就能從個(gè)人照片中成功提取指紋，之后還可以使用 3D 打印機(jī)輕松創(chuàng)建指紋副本；2018年密歇根州立大學(xué)的 Roy等人生成的 DeepMasterPrints 在 1% 的錯(cuò)誤匹配率下能夠偽造 77% 的主體指紋。

靜脈識(shí)別是根據(jù)靜脈血液中脫氧血色素吸收近紅外線或人體輻射遠(yuǎn)紅外線的特性來提取特征。由于每個(gè)人的靜脈分布圖具備類似于指紋的唯一性且成年后持久不變的特點(diǎn)，所以它能夠唯一確定一個(gè)人的身份。不過，德國(guó)混沌通信大會(huì)上兩名黑客卻提出了破解之道：首先用單反相機(jī)拍攝了目標(biāo)的手掌照片，然后通過修改照片去除紅外濾光之后，從中提取出了目標(biāo)的靜脈布局，然后復(fù)制在一只蠟制的手掌上，就成功的通過了掃描儀。

而聲紋識(shí)別也同樣未能逃過被破解的“命運(yùn)”。在GeekPwn2017國(guó)際安全極客大賽上，選手就根據(jù)游戲《王者榮耀》里英雄配音者所提供的聲音樣本，模擬了其聲紋特征，合成一段“攻擊”語音，對(duì)現(xiàn)場(chǎng)提供的四個(gè)具有聲紋識(shí)別功能的設(shè)備發(fā)起攻擊，欺騙并通過了“聲紋鎖”的驗(yàn)證。

在指紋識(shí)別、面部識(shí)別、靜脈識(shí)別、聲紋識(shí)別相繼“淪陷”后，虹膜識(shí)別也遭到破解。與想象中不同，獲取虹膜的方式十分簡(jiǎn)單，只要在一個(gè)人十米內(nèi)，用單反長(zhǎng)焦鏡頭結(jié)合捕捉紅外功能聚焦光束拍攝，就能成功獲取虹膜信息。2018 年，百度安全實(shí)驗(yàn)室（X-lab）研究員小灰灰就成功破解了虹膜識(shí)別，并給出了復(fù)制虹膜的方法。而且，即便有硬件在虹膜識(shí)別過程中加入了“活體檢測(cè)”，譬如眼球微動(dòng)、瞳孔縮放，只需抖動(dòng)打印虹膜，或平穩(wěn)拉進(jìn)拉遠(yuǎn)，也能輕易繞過，通過認(rèn)證。

結(jié)語：其實(shí)梳理一番發(fā)現(xiàn)，還真沒一種生物識(shí)別可以保證萬無一失。不過，盡管單一一種識(shí)別方式可以輕易破解，但是把這些方法融合起來，卻大大提高了破解成本。當(dāng)然，融合的方式也需要繼續(xù)探索，這并不是簡(jiǎn)單的疊加。